FR 2708358 A1 19950203 FR 9308073 A 19930701 Procédé de saisie d'une information confidentielle, terminal et système de vérification associés. La présente invention concerne un procédé de saisie, par un teminal, d'une information confidentielle fournie par un utilisateur sur un clavier comprenant plusieurs touches, cette information comprenant plusieurs signes appartenant à une première série de signes. Il est connu que les moyens de paiement électroniques utilisant une carte associée à un terminal se généralisent, qu'il s'agisse de distributeurs de billets ou de moyens de paiement dans les magasins. o10 Pour identifier le porteur d'une carte ou un opérateur, il est souvent demandé à ce dernier d'introduire une information confidentielle, couramment appelée code, au moyen d'un clavier associé au terminal. Les conditions dans lesquelles le code doit être introduit au moyen du clavier ne permettent généralement pas de masquer le clavier de façon satisfaisante de sorte que celui-ci peut être observé par un tiers pendant la saisie de l'information confidentielle. Une personne mal intentionnée peut donc ensuite utiliser cette information à des fins frauduleuses. Certains systèmes comportent des claviers dont les signes sont disposés selon des positions qui varient d'un clavier à un autre de sorte que pour un tiers qui ne connaît pas la disposition des signes sur un clavier en cours d'utilisation, il n'est pas possible de deviner l'information confidentielle en observant- simplement la position des touches qui sont frappées par l'utilisateur. Ceci a toutefois pour inconvénient de compliquer sensiblement la réalisation du clavier et engendre des- erreurs d'introduction de l'information confidentielle lorsque des utilisateurs habitués à une certaine disposition des signes ne prêtent pas attention au fait que le clavier considéré ne comporte pas la disposition habituelle. En outre, un fraudeur expérimenté peut analyser la répartition des signes sur un clavier précis avant ou après la saisie de l'information confidentielle par l'utilisateur et mémoriser la position des touches frappées pour en déduire finalement l'information confidentielle. Un but de la présente invention est de proposer un procédé de protection d'une information confidentielle lors de sa saisie sur un clavier même lorsque celui-ci peut être observé par un tiers. En vue de la réalisation de ce but, le procédé selon l'invention consiste à identifier chacune des touches du clavier en lui affectant un signe appartenant à une seconde série de signes; afficher, sur des moyens d'affichage, les première et seconde séries de signes de façon que chaque signe de la première soit disposé en regard d'un signe de la seconde selon une distribution aléatoire, connue du terminal; et actionner chaque touche du clavier dont le signe correspond au signe affiché de la seconde série, situé en regard de l'un des signes constituant ladite information confidentielle. Ainsi, lorsqu'un utilisateur saisit une information confidentielle, les touches du 1o clavier qu'il frappe ne comportent pas les signes de son code mais des signes correspondants selon une correspondance qui est donnée àl'utilisateur par l'affichage simultané des deux séries de signes. Etant donné que cette correspondance varie pour chaque saisie de l'information confidentielle en fonction du positionnement relatif des séries de signes, la seule connaissance des touches frappées sur le clavier lors d'une saisie est sans utilité pour un fraudeur. Selon une version avantageuse de l'invention, la position relative des séries de signes est modifiée après la saisie de chaque signe composant l'information confidentielle. Ainsi, même lorsqu'un tiers a la possibilité d'observer non seulement le clavier mais également l'affichage des séries de signes, la fréquence de changement très importante de la correspondance entre les signes de la première série et de la seconde série augmente la difficulté de mémoriser cette correspondance simultanément à la position de la touche frappée par l'utilisateur. Selon une version avantageuse de cet aspect de l'invention, au moins l'une des séries de signes disparaît dès qu'une touche du clavier est frappée. Ainsi, il n'est pas possible pour un fraudeur de regarder d'abord la touche qui est frappée puis de prendre connaissance du signe correspondant de la première série en observant les séries affichées. Selon un autre aspect de l'invention, la seconde série comporte un nombre de signes distincts inférieur au nombre des signes de la première série. Ainsi, un même signe de la seconde série correspond à plusieurs signes de la première série de sorte qu'un tiers qui réussit à observer le signe frappé sur le clavier et qui a réussi à mémoriser la correspondance entre la première et la seconde série, ne peut pas déduire de façon formelle le signe correspondant de l'information confidentielle. L'invention concerne aussi un terminal comprenant des moyens d'affichage et un clavier équipé de plusieurs touches pour saisir une information confidentielle fournie par un utilisateur, cette information comprenant plusieurs signes appartenant à une première série de signes, chacune des touches du clavier étant identifiée au moyen d'un signe appartenant à une seconde série de signes et le terminal étant agencé pour afficher les première et seconde séries de signes de façon que chaque signe de la première soit disposé en regard d'un signe de la seconde selon une distribution aléatoire, connue du terminal. L'invention concerne enfin un système de vérification électronique comportant au moins le terminal précité, associé à un ordinateur. D'autres caractéristiques et avantages de l'invention apparaîtront à la lecture de la description qui suit de différentes versions de l'invention en relation avec les figures ci-jointes parmi lesquelles: - la figure I illustre de façon schématique une partie d'un terminal mettant en oeuvre le procédé selon l'invention, - la figure 2 est une représentation schématique de l'écran d'affichage dans une étape postérieure à la figure 1, en relation avec une variante de réalisation du procédé selon l'invention, - la figure 3 est une illustration schématique de l'écran d'un terminal en relation avec une autre version du procédé selon l'invention, - la figure 4 est une illustration de l'écran du terminal postérieurement à la figure 3, en relation avec la version du procédé de la figure 3, et - la figure 5 est une autre illustration du procédé selon la figure 3, comportant une seconde série de signes constituée de flèches. En référence à la figure 1, le procédé selon l'invention est destiné à permettre la protection d'une information confidentielle, par exemple le code d'une carte bancaire, lors de sa saisie sur un clavier d'un terminal. Sur la figure 1 on a représenté seulement le clavier du terminal généralement désigné en 1, et l'écran d'affichage du terminal généralement désigné en 2. De façon connue en soi, I'information confidentielle est composée de signes appartenant à une série de signes, par exemple des chiffres dans l'exemple illustré. Dans la suite de la description, on supposera que l'information confidentielle est composée de quatre signes et que dans les exemples illustrés, ces quatre signes sont les chiffres 4723. Selon l'invention, on représente sur les touches 5 du clavier 1 du terminal, une seconde série de signes et on affiche sur le terminal d'une part la première série de signes qui est ici disposée selon une ligne 3 sur l'écran d'affichage, et d'autre part la seconde série de signes qui est ici disposée selon une ligne 4 sur l'écran d'affichage au-dessus de la ligne 3 de la première série de signes, la première et la seconde séries de signes étant affichées selon une position relative aléatoire c'est-à-dire que la correspondance entre les signes de la première série et les signes de la seconde série peut varier chaque fois qu'une carte est introduite dans le terminal. Ainsi, les touches qui doivent être frappées sur le clavier varient à chaque nouvel affichage des deux séries de signes de sorte qu'un tiers qui observe seulement les touches frappées par l'utilisateur ne pourra pas réutiliser l'information obtenue lors d'une saisie ultérieure. Selon une première version de l'invention, on suppose que la première et la seconde série de signes restent affichées avec la même position relative pendant que l'utilisateur saisit les différents signes sur le clavier. Dans le cas envisagé, l'utilisateur va donc frapper successivement sur le clavier les touches comportant O puis , puis 1, et enfin v. Pour faciliter la saisie de l'information confidentielle par l'utilisateur, I'écran d'affichage 2 comporte de préférence de façon habituelle une ligne 6 de repères indiquant le nombre de signes déjà saisis et permettant ainsi àl'utilisateur de savoir à quelle position de l'information confidentielle il se trouve. Dans l'exemple illustré, les signes de la ligne 6 sont au départ des points qui sont progressivement remplacés par des étoiles chaque fois que l'utilisateur saisit un signe. On remarquera que dans cette version du procédé de l'invention un fraudeur qui observe seulement le clavier ne peut en aucune façon appréhender l'information confidentielle puisqu'il ne connaît pas la correspondance entre les signes frappés sur le clavier et les chiffres qui composent le code. Toutefois, s'il a en plus la possibilité de voir l'écran, il pourra mémoriser la correspondance entre les deux séries de signes, ou plus simplement regarder cette correspondance chaque fois qu'il verra l'utilisateur frapper une des touches du clavier. En effet, la lecture de la correspondance implique une tension relativement soutenue de l'utilisateur qui a tendance à vérifier qu'il ne se trompe pas de signes de la seconde série et agit donc plus lentement que d'habitude. Dans ce cas, il sera donc possible pour un fraudeur qui aura vu l'utilisateur frapper la touche 0 de regarder ensuite l'écran et de constater que 0 correspond au chiffre 4, et d'effectuer ainsi successivement le décodage des signes frappés par l'utilisateur. Pour éviter une telle manoeuvre du fraudeur, on prévoit de préférence, selon une autre version de l'invention, de changer la position relative de la première et de la seconde série de signes pour la saisie de chaque signe de l'information confidentielle. On a illustré sur la figure 2 I'affichage qui est vu par l'utilisateur sur l'écran dès qu'il a frappé la touche O. Selon la version illustrée, la seconde série de signes est restée dans la même position mais la première série de signes est affichée selon une nouvelle disposition des chiffres tandis que dans la ligne de repères 6 le premier point a été remplacé par une étoile. Selon cette version de l'invention, après avoir commencé comme précédem- ment par frapper la touche O, I'utilisateur va donc cette fois frapper la touche 4 qui correspond au deuxième chiffre, 7, de son code. On remarquera qu'il n'est donc pas possible pour un fraudeur qui a attendu de voir la touche frappée par I'utilisateur de déterminer le signe correspondant de la première série. En effet, le fraudeur qui a attendu de voir l'utilisateur frapper la touche O et qui regarde alors l'écran d'affichage lira que le chiffre correspondant à O est le chiffre 3 et fera donc une erreur dans l'appréciation du premier chiffre de l'information confidentielle. Pour pouvoir obtenir l'information confidentielle, le fraudeur devra donc mémoriser successivement les correspondances entre la première et la seconde série de signes avant que l'utilisateur ne frappe un signe, ce qui réduit considérablement le risque d'avoir un fraudeur capable de mémoriser l'ensemble des signes de l'information confidentielle. Dans l'exemple illustré sur les figures 1 et 2, les deux séries de signes sont affichées sur l'écran mais seuls les signes de la première série ont une position variable. On remarquera qu'il est bien entendu possible de faire varier également la position des signes de la seconde série ou encore de faire varier la position des signes de la seconde série tout en maintenant fixe la position des signes de la première série. Les figures 3 à 5 illustrent une autre version du procédé selon l'invention. Dans cette version, les signes de la seconde série sont cette fois disposés en dessous des signes de la première série et sont disposés de façon fixe sur le boîtier du terminal en dessous de l'écran d'affichage. Cette disposition ne caractérise pas cette version du procédé de l'invention et l'on pourrait adopter pour les signes la même disposition que sur les figures 1 et 2. Ce qui caractérise cette version du procédé de l'invention est le fait que la seconde série de signes comporte cette fois un nombre de signes distincts inférieur à la première série de signes de sorte que pour avoir une correspondance entre chacun des signes de la première série de signes et les signes de la seconde série de signes, il est nécessaire d'affecter un même signe de la seconde série IO à plusieurs signes de la première série. Dans l'exemple illustré sur les figures 3 et 4, la première série de signes comporte comme précédemment dix chiffres, de zéro à neuf, et la seconde série de signes comporte cette fois cinq signes distincts seulement qui sont @, O, O,,, V'. Afin qu'un signe de la seconde série corresponde à chaque signe de la première série, certains signes de la seconde série ont donc été répétés, c'est-à-dire que la seconde série de signes comporte deux @, deux O, deux v, et trois O qui sont répartis d'une façon quelconques. Lors de l'introduction d'une carte, les signes de la première série sont affichés de façon aléatoire pour qu'à chaque signe de la première série corresponde un signe de la seconde série. On remarquera à ce propos que la position des signes de la première série peut être totalement aléatoire, c'est-à-dire que les signes de la première série sont disposés non seulement de façon aléatoire par rapport aux signes de la seconde série, mais sont également disposés de façon aléatoire les uns par rapport aux autres, ou de façon pseudo-aléatoire c'est-à-dire que tout en étant disposés de façon aléatoire par rapport aux signes de la seconde série, les chiffres de la première série sont disposés de façon ordonnancée les uns par rapport aux autres. C'est le cas dans l'exemple illustré sur la figure 3 o les chiffres sont ordonnés les uns par rapport aux autres selon une séquence en boucle, la position aléatoire par rapport aux signes de la seconde série étant déterminée par un décalage aléatoire de la séquence. En particulier sur la figure 3, le zéro correspond au premier 0 de la seconde série. En supposant que la position des signes de la première série reste constante pendant toute la saisie de l'information confidentielle, un utilisateur ayant le code 4723 va donc saisir, dans le cas de la figure 3, successivement les signes 0, 0, v et . Contrairement à la version qui avait été décrite en relation avec la figure 1, un fraudeur qui observera simultanément le clavier et l'écran ne pourra pas en déduire avec certitude l'information confidentielle saisie par l'utilisateur. En effet, lorsqu'un fraudeur voit l'utilisateur saisir le premier signe O, il ne peut savoir si ce signe correspond au chiffre 1 ou au chiffre 4. De même, lorsque l'utilisateur saisit le signe O, un observateur ne peut savoir si ce t correspond au chiffre 0, au chiffre 5 ou au chiffre 7. De même, le signe v correspond au chiffre 2 ou au chiffre 8. Dans ce cas la même séquence de signes de la seconde série aurait été saisie par un utilisateur dont le code aurait été 1529 ou 4089. En supposant qu'un observateur ait réussi à mémoriser la correspondance complète entre les signes de la première et de la seconde série, et la succession des touches frappées par l'utilisateur et qu'il veuille réutiliser cette information lors d'une saisie ultérieure, il se trouvera confronté à une nouvelle table de correspondance comme illustré par exemple sur la figure 4. Sur cette figure, un nouveau décalage a été effectué entre la série de chiffres formant la première série de signes et la seconde série de signes de sorte que le choix entre le 1 et le 4 qui a pu être relevé par un observateur lors de la saisie précédente, se trouve cette fois illustré par un @ et un 'M, c'est-à- dire qu'il existe une chance sur deux pour le fraudeur de se tromper dans la saisie du premier signe constituant l'information confidentielle. De même, un fraudeur aura à nouveau un doute sur le second singe à saisir puisque les chiffres 0, 5, et 7 qui correspondaient au signe O dans la figure 3 sont représentés à la figure 4 par les signes v, O et . On remarque donc que la probabilité pour un observateur de pouvoir ressaisir exactement l'information confidentielle est extrêmement faible. Ce risque est encore minimisé si l'on prévoit comme précédemment de changer la correspondance entre la première série de signes et la seconde série de signe chaque fois qu'un signe vient d'être saisi. La variante de la figure 5 se distingue de celle de la figure 3 en ce que les pictogrammes élaborés, constitués par les signes de la seconde série, sont remplacés ici par des signes plus simples, construits à partir d'un seul signe élémentaire, à savoir un triangle isocèle. La seconde série de signes comprend cinq signes, chacun se distinguant par un nombre-de triangles particulier ou une orientation particulière de ceux-ci. Ainsi, les chiffres 2 à 4 de la première série de signes sont tous les trois désignés par le même signe constitué par deux triangles 6 juxtaposés et orientés vers la droite de la figure 5. Une accolade 7 définit cette correspondance. Les chiffres 0 et 1 sont désignés par un seul triangle 6 ayant la même orientation que pour les chiffres 2 à 4. Une seconde série de ce type, construite à partir d'un seul signe simple, est avantageuse en ce que l'utilisateur mémorise immédiatement l'ensemble des signes utilisés. Par ailleurs, les chiffres de la première série de signes (par exemple 2 à 4) désignés par le même signe de la seconde série sont juxtaposés, de sorte qu'un seul signe (ici, les deux triangles 6) les désignent simultanément, ce qui facilite encore la tâche de l'utilisateur. Bien entendu, l'invention n'est pas limitée au mode de réalisation décrit et on peut y apporter des variantes de réalisation sans sortir du cadre de l'invention. En particulier, bien que les signes de la première série aient été illustrés par des chiffres, on peut prévoir des signes quelconques, les signes utilisés pouvant même être différents d'une carte à une autre, l'affichage des signes de la première série étant alors fait par le terminal en fonction d'une codification contenue dans la carte. On peut également prévoir des signes identiques pour la première et la seconde séries de signes. Il faut dans ce cas que les séries de signes soient clairement indiquées sur l'écran d'affichage sans quoi le risque d'erreurs de saisie risque d'être très grand. g REVENDICATIONS 1. Procédé de saisie, par un terminal, d'une information confidentielle fournie par un utilisateur sur un clavier (1) comprenant plusieurs touches (5), cette information comprenant plusieurs signes appartenant à une première série de signes (3), caractérisé en ce qu'il comprend les étapes suivantes consistant à: - identifier chacune des touches du clavier (1) en lui affectant un signe appartenant à une seconde série de signes (4); afficher, sur des moyens d'affichage, les première et seconde séries de signes de façon que chaque signe de la première (3) soit disposé en regard d'un signe de la seconde (4) selon une distribution aléatoire, connue du terminal; et - actionner chaque touche du clavier dont le signe correspond au signe affiché de la seconde série (4), situé en regard de l'un des signes constituant ladite information confidentielle. 2. Procédé selon la revendication 1, caractérisé en ce que la position relative des séries de signes (3, 4) est modifiée après la saisie de chaque signe composant l'information confidentielle. 3. Procédé selon la revendication 2, caractérisé en ce qu'au moins l'une des séries de signes (3, 4) disparaît dès qu'une touche du clavier (1) est frappée. 4. Procédé selon l'une des revendications 1 à 3, caractérisé en ce que la seconde série (4) comporte un nombre de signes distincts inférieur au nombre des signes de la première série (3). 5. Procédé selon l'une quelconque des revendications I à 4, caractérisé en ce que les signes de la seconde série (4) sont différents de ceux de la première série (3). 6. Terminal comprenant des moyens d'affichage et un clavier (1) équipé de plusieurs touches (5) pour saisir une information confidentielle fournie par un utilisateur, cette information comprenant plusieurs signes appartenant à une première série de signes (3), caractérisé en ce que chacune des touches du clavier est identifiée au moyen d'un signe appartenant à une seconde série de signes (4) et en ce que le terminal est agencé pour afficher les première et seconde séries de signes de façon que chaque signe de la première (3) soit disposé en regard d'un signe de la seconde (4) selon une distribution aléatoire, connue du terminal. 7. Terminal selon la revendication 6, caractérisé en ce que la position relative des séries de signes (3, 4) est modifiée après la saisie de chaque signe composant l'information confidentielle. 8. Terminal selon la revendication 6 ou 7, caractérisé en ce que la seconde série (4) comporte un nombre de signes distincts inférieur au nombre des signes de la première série (3). 9. Terminal selon l'une quelconque des revendications 6 à 8, caractérisé en ce que les signes de la seconde série (4) sont différents de ceux de la première série (3). 10. Système de vérification électronique comportant au moins un terminal selon l'une quelconque des revendications 6 à 9 et un ordinateur.